CN1953452A

CN1953452A - 一种流媒体的动态认证及授权方法

Info

Publication number: CN1953452A
Application number: CN 200610113982
Authority: CN
Inventors: 王新立
Original assignee: Institute of Electrical Engineering of CAS
Current assignee: Institute of Electrical Engineering of CAS
Priority date: 2006-10-24
Filing date: 2006-10-24
Publication date: 2007-04-25
Anticipated expiration: 2026-10-24
Also published as: CN1953452B

Abstract

一种流媒体的动态认证及授权方法，其特征在于流程开始时，首先接收来自HTTP服务器的客户端请求，对请求信息进行解析并采集连接中的会话信息，对连接信息进行合法性验证并把不合法连接用户驳回，对于合法用户请求的信息进行动态加工处理生成动态的认证信息，将动态认证信息写入到流媒体认证数据库完成授权，向流媒体服务器提交媒体请求，监测客户端是否正确获得授权并开始播放，接收到用户正确获得授权播放的消息即启动线程进行流媒授权的回收。本发明可提高流媒体认证的可靠性及准确性，有效地保护流媒体的版权，防止流媒体内容被非法下载和传播，同时提高了用户认证信息的安全性。

Description

一种流媒体的动态认证及授权方法

技术领域

本发明涉及一种流媒体的动态认证及授权方法，尤其涉及基于流媒体传输协议的在线点播的动态授权方法。

技术背景

基于互联网技术的流媒体点播发展很快，运用各种开发技术的方案很多，媒体节目内容非常丰富，技术也日益成熟，但是对于如何实现流媒体的版权保护及用户认证信息的保护，仍是一个十分重要的问题，同时也是制约流媒体点播、网络广播、网络电视发展的一个重要因素。

流媒体技术是为解决以互联网代表的中低带宽网络上多媒体信息传输问题而产生、发展起来的一种网络新技术。采用流媒体技术，能够有效地突破互联网带宽瓶颈，克服文件下载传输方式的不足，实现多媒体信息在互联网上的流式传输。目前互联网上比较流行的流媒体有RealNetworks的Realmedia、Microsoft的Windows Media以及Apple公司的Quicktime，它们包括不同的媒体内容，具有不同的流格式，都有专用的播放器。

基于RTSP协议的Realmedia流媒体点播技术支持AVI、MOV、MPG、MP3、WAV等文件格式的流式播放，是目前互联网上非常流行的流媒体点播方案，对于如何实现对用户的认证，对用户进行收费管理以及媒体内容的保护，各个ICP采用方式不尽相同，目前广泛采用的方法有：1、运用客户端开发技术隐藏流媒体URL地址，通过开发专用的媒体播放工具来实现对用户的认证和对流媒体的授权，实现对流媒体URL信息的加密；2、客户端采用通用浏览器，运用浏览器支持的脚本进行功能设置，嵌套媒体URL真实地址，实现隐藏流媒体的信息；3、利用服务器端动态网站开发技术来生成浏览器脚本变量、服务器脚本嵌套进行媒体URL的隐藏。4、商业化的流媒体授权与认证机制，如Real Server的流媒体视频服务器本身也提供了商业化的授权和用户认证功能。

采用上述流媒体认证方案的流媒体点播方案存在着技术上的不足，首先对于采用第1、2方法更为常见，但通过带有扩展功能的浏览器(如Maxthon，朔雪浏览器等)可以方便的分析页面结构及代码，得到流媒体内容的URL信息，进而对流媒体进行猜测、破解，下载和传播。对于第3种方法以及第1、2种方法无法得到URL的情况，如果采用嗅探工具，通过对TCP协议进行监听和猜解，也很容易的得到媒体的URL信息及用户的服务器认证信息。对于第4种方法，很多服务提供商采用了流媒体服务器的商业认证模块，在服务器端使用用户账号进行认证授权的方法，采用标准的加密算法来增强对用户账户信息的保护，并采用自带数据库或外挂数据库进行存储，相对来说提高了安全性，但由于用户账号通过网络传播，由于网络传输的不安全性以及对数据库系统本身容易受到攻击使得用户的信息安全得不到保障，这也导致了在互联网上每天都有大量用户账号被猜解、盗用、传播，这种使用用户账号信息来进行流媒体认证的技术手段使得流媒体内容很容易遭到恶意的下载、传播，从而使流媒体内容的版权受到侵害。

发明内容

本发明的目的是克服现有技术的缺点，提出一种流媒体的动态认证及授权的实现方法，实现流媒体内容安全地在线点播及加密授权，在为合法用户授权点播的同时，防止用户对流媒体内容的下载和传播，从技术上更好地保护流媒体的版权。

本发明是一种基于流媒体传输协议的流媒体的动态认证及授权的实现方法，主要包括流媒体服务器端的数据库访问控制、身份认证信息的加密算法的改进及实现基于线程植入技术的动态授权、授权生命周期的控制等。本发明可提高流媒体认证的可靠性及准确性，允许合法授权用户在线点播流媒体内容，防止用户从流媒体服务器下载并进行非法传播，对保护流媒体的版权具有重要的意义。

本发明动态认证及授权方法的流程描述如下：

第1步：流程开始，接收来自HTTP服务器的客户端请求；第2步：对请求信息进行解析并采集连接中的会话信息；第3步：对连接信息进行合法性验证并把不合法连接用户驳回；第4步：对于合法用户请求的信息进行动态加工处理生成动态的认证信息；第5步：将动态认证信息写入流媒体认证数据库完成授权；第6步：向流媒体服务器提交媒体请求；第7步：监测客户端是否正确获得授权并开始播放；第8步：接收到用户正确获得授权播放的消息即启动线程进行流媒授权的回收。

本发明具有以下特征：

1、采用服务器组件技术实现动态生成流媒体授权信息。采用用户会话信息中的IP地址、MAC地址、并与时间信息相混合作为种子生成动态授权信息，包括伪用户名、密码、媒体资源信息，以保证每个用户每次连接都可以产生不同的授权信息。并将动态授权信息写入到流媒体服务器认证数据库中，对流媒体内容完成授权。根据流媒体内容发布的URL信息和生成的动态授权信息生成流媒体的点播请求，并动态的生成HTTP文本，在服务器发布，以实现客户端在浏览器中播放流媒体内容。

优点在于：使用户账号信息与流媒体服务器认证信息相分离，从结构上提高了用户账号信息的安全性和流媒体的安全性，服务器扩展的开发技术使得在浏览器中不包含URL信息。而且实现了授权信息的动态生成，用户每次会话请求的授权信息不同，防止用户通过监听、猜解的方法得到有效的授权信息。

2、在服务器端实现用户账号、IP、MAC三者的混合认证的方法，保护用户账号信息。为了防止用户账号泄密后在网上传播带来的一系列问题，采用账号与用户IP地址及用户计算机MAC地址混合验证的方法，通过限制同一账号建立的连接数、分析用户连接频度，进行从同一MAC地址连接请求的唯一性验证，判断当前连接请求是否为有效账号的连接。

3、在服务器端用线程植入技术完成向流媒体服务器添加动态认证信息。本发明采用动态认证信息与用户真实账号信息分离的方式来实现对用户的认证，保护用户真实信息。通过在服务器的进程空间内植入用户线程，动态生成伪认证信息，完成向流媒体服务器数据库的授权，生成动态授权信息，保持授权信息直到用户URL请求完成。运用多线程开发技术、互斥区通信技术、实现对流媒体服务器的认证数据库访问，并建立线程控制授权的生命周期。当接收到用户播放媒体、流媒体服务器认证完毕的信号后完成授权信息的回收，结束对于流媒体动态授权的生命周期。

4、在服务器端利用消息驱动机制实现对用户会话的授权的回收。流媒体服务器通过对客户端请求授权后，用户在浏览器端即可实现流媒体的播放，本发明通过在服务器端开发组件监控客户端返回的消息，及时收回对流媒体的授权，如果出现当前流媒体中断的情况，用户只需刷新当前网页即可完成重新授权，而不用重新登录用户账号。这样即使是同一个合法用户对同一个流媒体资源的访问，其流媒体认证信息也是不同的，这就从根本上实现了真实媒体授权信息的保护。

即使用户在客户端用网络工具获取了媒体文件的URL，再建立新的会话进行请求时，认证信息已经失效，从而更好的保障了媒体文件的合法授权。

5、安全机制：

利用HTTP Server提供的基本安全认证功能，来实现服务器端的网站系统和服务器扩展组件的安全，防止组件被下载和破解。开发基于会话的Filter组件，采用端口防护策略来实现对通信端口的保护以及对连接信息的过滤。对于一号多用、多线程访问及下载等问题进行防范。对DES加解密算法进行定制及改进，主要是加入开发者自定义的种子信息，并自行开发简单的加解密算法，从而增加DES的个性配置，增强加密的强度，提高信息的安全性。在服务器进程空间中创建线程用于产生流媒体的授权信息，同时控制授权的生命周期，及时的回收媒体授权，从而达到只能在线播放、而不能下载和传播的目的。这时在客户端的URL信息是动态的，并且是一经生成即完成授权和失效的，所以即使得到播放媒体的URL也无法再通过这个URL取得媒体服务器的认证而进行再次播放和下载。

本发明的实现方法主要是通过服务器端开发技术开发服务器运行组件来实现。可采用的HTTP服务器扩展开发技术主要有基于Windows平台的MicrosoftISAPI的技术，运用Microsoft Studio开发平台开发运行在IIS上的组件来实现服务器的过滤及扩展；也有基于Linux平台的使用C语言开发Apache Module的技术；也可以运用跨平台的Java Servlet的技术来实现，在Servlet容器上运行，采用何种开发技术可根据运行环境及相关应用的开发技术进行选择。

本发明适用的流媒体系统由HTTP服务器、数据库服务器、流化媒体服务器三部分组成。本发明不包括流媒体服务器的功能实现，主要是借助于第三方流媒体服务器的授权服务，HTTP及数据库服务器均选用主流软件系统。本发明通过开发HTTP的服务器扩展组件，来实现高效、安全的认证体系，以达到保护流媒体安全的目的。

在实现用户信息与流媒体认证信息分离上本发明具有以下特征：

1、对于用户的流媒体请求，接收用户的会话信息作为动态种子；

2、对于用户的身份信息用会话信息进行加密后生成伪身份信息用于流媒体认证，生成的伪身份信息每次会话都不相同；

3、用线程的方法将伪身份信息向流媒体认证数据库进行授权。

在实现授权生命周期控制上本发明具有以下特征：

1、基于消息传递，接收来自客户端的响应信息；

2、使用线程的方法向流媒体认证数据库回收当前会话的授权。

3、通过流媒体认证的动态瞬时授权来防止流媒体下载。

在安全机制上本发明具有以下特征：实现用户连接过滤，以及媒体授权的缓冲区优化；对于在线媒体通过动态加密授权的方式实现媒体点播，保护了媒体的版权。

附图说明

图1本发明适用的流媒体系统结构示意图；

图2流媒体的动态认证及授权流程框图；

图3流媒体动态伪身份认证信息授权及生命周期控制示意图。

具体实施方式

如图1所示，本发明适用通用的流媒体点播架构主要由用户终端、HTTP服务器(IIS)、数据库服务器、流化媒体服务器四个部分构成，通过互联网相连。用户终端为瘦客户端方式，以B/S结构的方式访问HTTP服务器，并通过数据库服务器和流化媒体服务器进行用户认证和授权。将ISAPI过滤及扩展插件部署在HTTP服务器上，实现流媒体安全授权的功能。

图2所示是本发明所涉及的流媒体的动态认证及授权流程图：流程开始，接收来自HTTP服务器的客户端请求，对请求信息进行解析并采集连接中的会话信息，对连接信息进行合法性验证并把不合法连接用户驳回，对于合法用户请求的信息进行动态加工处理生成动态的认证信息，将动态认证信息写入到流媒体认证数据库完成授权，向流媒体服务器提交媒体请求，监测客户端是否正确获得授权并开始播放，接收到用户正确获得授权播放的消息即启动线程进行流媒授权的回收。

本发明流媒体的动态认证及授权的实现方法时序如图3所示：

首先HTTP服务1将客户端请求信息传递到过滤器2，由过滤器2对请求信息及连接信息经缓冲区3过滤后传递给URL解析器4进行解析并采集连接中的会话信息传递给服务器扩展5，经过URL解析器解析后的信息包括媒体信息、定制方式、用户信息、以及采集到的会话信息，会话信息主要包括用户的IP地址、MAC地址、时间信息，通过时间信息来产生动态的基于会话的种子，用户信息主要是用户的用户名和密码；在缓冲区3对连接信息进行合法性验证，对于不合法的连接请求进行驳回；对于合法请求的信息及采集到会话信息通过服务器扩展5进行加工处理，根据动态的时间信息和用户名生成用于流媒体服务器动态的伪认证信息9；并将动态的伪认证信息9写入到流媒体认证数据库11中，以实现流媒体的当前会话的流媒体授权；同时在服务器扩展5生成混合的URL，并将加密的URL信息进行发布，并向流媒体服务提交请求12；由流媒体服务器进行查验授权，如果请求为已经授权的请求，则响应用户的播放请求；当用户端成功播放媒体后即返回成功信息，向服务器扩展5请求取消授权13；由线程服务访问流媒体认证数据库，实现清除动态伪认证信息14。

以下为采用本发明方法的实施例：

1.本发明实施例的系统环境包括：服务器操作系统，HTTP服务软件，流媒体系统。采用Windows Server 2003作为服务器软件，采用高性能IIS作为HTTP服务，采用Real Media Server作为流媒体服务器。

2.配置流媒体服务器，包括流媒体内容发布及认证方法。对发布的媒体内容进行商业策略的配置，对于认证加密方式采用流媒体自带的方案。在配置用户认证数据库的时候，选择自定义的数据库，配置使用ODBC方式。

3.基于步骤1选择，选用Microsoft Visual Studio.net进行开发和调试。开发语言选用C/C++。

4.基于步骤3的选择，运用Microsoft ISAPI接口进行开发，对于数据库采用ADO或ODBC技术进行访问，对于连接的控制和优化选用互斥区进程通信，对于流媒体授权的控制，采用多线程技术以及消息驱动的方式实现对授权生命周期的控制。

5.基于步骤3的确定，根据图2及图3所述的思路和步骤进行功能开发和实现。

本发明实施例实现了在Real media server下的动态认证授权方法，并进行了网络嗅探、尝试破解、用多种工具尝试流媒体下载等试验，所产生的效果有：

(1)可以嗅探到流媒体的URL地址，但增加了嗅探的难度。

(2)由于生成的认证信息是动态生成的，所以得到的URL信息中的认证信息不是用户的账号信息，保护了用户的账号信息。

(3)由于认证及授权的周期控制，得到的URT信息已经过期，所以用嗅探得到的URL信息不可以再用于流体的点播和下载。

(4)当进行尝试破解时能够被系统认识和过滤，在三次尝试后用户的IP及Mac地址被锁定，不能再用，只有管理员手动解除锁定后才能以合法的账号登录使用。

(5)当同一个账号在不同的机器上登录时，后登录的用户会得到提示，不可以一号多用。并返回未通过认证的信息。

本发明对于实现互联网技术的流媒体点播认证的可靠性及准确性，显著提高网络流媒体管理的安全性，以及对于网络流媒体安全技术的发展有着重要的促进作用和现实意义。

Claims

1、一种流媒体的动态认证及授权方法，其特征在于：

2、按照权利要求1所述的流媒体的动态认证及授权方法，其特征在于：首先HTTP服务1将客户端请求信息传递到过滤器2，由过滤器2对请求信息及连接信息经缓冲区3过滤后，传递给URL解析器4进行解析并采集连接中的会话信息传递给服务器扩展5；经过URL解析器解析后的信息包括媒体信息、定制方式、用户信息、以及采集到的会话信息，会话信息主要包括用户的IP地址、MAC地址、时间信息，通过时间信息来产生动态的基于会话的种子，用户信息主要是用户的用户名和密码；在缓冲区3对连接信息进行合法性验证，驳回不合法的连接请求；对于合法请求的信息及采集到的会话信息，由服务器扩展5根据动态的时间信息和用户名生成用于流媒体服务器动态的伪认证信息9；并将动态的伪认证信息9写入流媒体认证数据库11中，以实现流媒体的当前会话的流媒体授权；同时在服务器扩展5生成混合的URL，并将加密的URL信息进行发布，并向流媒体服务提交请求12；由流媒体服务器进行查验授权，如果请求为已经授权的请求，则响应用户的播放请求；当用户端成功播放媒体后即返回成功信息，向服务器扩展5请求取消授权13；由线程服务访问流媒体认证数据库，实现清除动态伪认证信息14。

3、按照权利要求1或2所述的流媒体的动态认证及授权方法，其特征在于：采用动态认证信息与用户真实账号信息分离的方式来实现对用户的认证，保护用户真实信息；通过在服务器的进程空间内植入用户线程，动态生成伪认证信息，完成向流媒体服务器数据库的授权，生成动态授权信息，保持授权信息直到用户URL请求完成；运用多线程开发技术、互斥区通信技术、实现对流媒体服务器的认证数据库访问，并建立线程控制授权的生命周期；当接收到用户播放媒体、流媒体服务器认证完毕的信号后完成授权信息的回收，结束对于流媒体动态授权的生命周期。

4、按照权利要求1或2所述的流媒体的动态认证及授权方法，其特征在于：在服务器端开发组件监控客户端返回的消息，及时收回对流媒体的授权。

5、按照权利要求1或2所述的流媒体的动态认证及授权方法，其特征在于：利用HTTP Server提供的基本安全认证功能，实现服务器端的网站系统和服务器扩展组件的安全，防止组件被下载和破解；开发基于会话的Filter组件，采用端口防护策略来实现对通信端口的保护以及对连接信息的过滤；对于一号多用、多线程访问及恶意下载、尝试破解等问题进行防范；对DES加解密算法进行定制及改进，主要是加入开发者自定义的种子信息，并开发简单的加解密算法，从而增加DES的个性配置，增强加密的强度，提高信息的安全性。

6、按照权利要求1或2所述的流媒体的动态认证及授权方法，其特征在于：对连接信息进行合法性验证系采用账号与用户IP地址及用户计算机MAC地址混合验证，通过限制同一账号建立的连接数、分析用户连接频度，进行从单一用户连接请求的唯一性验证，判断当前连接请求是否为合法的点播请求，将盗链、恶意下载，尝试破解，一号多用等进行过滤。